perf(ci): Builds beschleunigen und kaputtes sharp reparieren

Nur bauen was sich geaendert hat:
- deploy_backend laeuft nur bei Aenderungen unter backend/, deploy_frontend
  nur bei src/, public/ und den Frontend-Konfigdateien. Die haeufigsten
  Commits sind Inhaltsaenderungen aus dem CMS und fassen nur src/ und
  public/ an - die brauchen kein Backend-Deployment mehr.
- Der Abhaengigkeits-Audit laeuft nur noch, wenn sich package.json oder
  package-lock.json aendern. Sonst kam bei jedem Inhalts-Commit derselbe
  Bericht nach Discord.
- "[ALL]" in der Commit-Message erzwingt weiterhin den vollen Durchlauf.

Build-Kontext:
- Es gab kein .dockerignore im Root. Bei jedem Frontend-Deploy wanderte
  das komplette Repo zum Fly-Remote-Builder, inklusive 50 MB Git-Historie
  und des gesamten Backends. 98 MB -> 47 MB.
- Zwei tote Zeilen im Frontend-Dockerfile entfernt: ein Root-styles/ gibt
  es nicht und /styles/ wird als URL nirgends verwendet.

Backend-Image:
- npm ci lief in beiden Stages, better-sqlite3 wurde also doppelt
  uebersetzt. Jetzt einmal im Builder, danach npm prune --omit=dev und die
  fertigen node_modules wandern weiter.
- Die Build-Werkzeuge sind raus aus der Laufzeit-Stage. Das apk del vorher
  hat sie nur unsichtbar gemacht, die Layer blieben im Image.
- Ohne Cache lokal: 1:31 -> 0:29. Image: 845 MB -> 312 MB.

sharp war die ganze Zeit kaputt:
- backend/package-lock.json enthielt als einziges Plattform-Binary
  @img/sharp-win32-x64, das Lockfile stammt von einer Windows-Maschine.
  npm ci installiert strikt nach Lockfile, auf Alpine kam damit gar kein
  sharp-Binary an. Der Upload fiel jedes Mal auf den Fallback zurueck:
  keine Verkleinerung auf 1600px, keine WebP-Wandlung, das Originalbild
  landete unveraendert im Repo. Genau deshalb sind die Bilder so gross -
  in der Historie liegen entsprechend .jpeg statt .webp.
- Lockfile mit allen Plattformvarianten neu aufgeloest. Keine einzige
  bestehende Paketversion aendert sich dabei; dazugekommen sind die
  Binaries, weggefallen sind 12 Postgres-Pakete, die drizzle-kit optional
  mitzieht und die hier niemand benutzt.
- vips aus dem Image entfernt, sharp bringt seit 0.33 sein eigenes libvips
  mit.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

.dockerignore

@@ -0,0 +1,29 @@
+# Ohne diese Datei wandert das komplette Repo zum Fly-Remote-Builder,
+# inklusive der ~50 MB Git-Historie und des gesamten Backends. Der
+# Frontend-Build braucht davon nichts.
+
+.git
+.gitignore
+
+node_modules
+dist
+.astro
+
+# Das Backend wird als eigene Fly-App aus backend/ heraus gebaut
+backend
+
+# Nicht vom Frontend-Build verwendet
+.woodpecker.yml
+Dockerfile.caddy
+docker-compose.yml
+pnpm-lock.yaml
+pnpm-workspace.yaml
+MIGRATION_README.md
+
+.vscode
+.idea
+.DS_Store
+
+.env
+.env.*
+*.log

.woodpecker.yml

@@ -5,9 +5,17 @@ steps:
       - npm install --package-lock-only
       - npm audit --audit-level=moderate --json > audit-result.json 2>&1 || echo "Audit completed"
       - npm audit --audit-level=moderate > audit-output.txt 2>&1 || echo "Audit completed"
+    # Nur wenn sich Abhaengigkeiten geaendert haben - bei reinen
+    # Inhaltsaenderungen kaeme sonst jedes Mal derselbe Bericht
     when:
       - branch: main
         event: push
+        path:
+          include:
+            - 'package.json'
+            - 'package-lock.json'
+            - '.woodpecker.yml'
+          ignore_message: '[ALL]'
 
   discord_notify_audit:
     image: alpine:latest
@@ -76,11 +84,22 @@ steps:
           echo "No audit results found - listing workspace files:"
           ls -la
         fi
+    # Gleicher Filter wie der Audit-Schritt, sonst meldet Discord bei jedem
+    # Inhalts-Commit "keine Ergebnisse gefunden"
     when:
       - branch: main
         event: push
+        path:
+          include:
+            - 'package.json'
+            - 'package-lock.json'
+            - '.woodpecker.yml'
+          ignore_message: '[ALL]'
 
-  # Backend zuerst - die Admin-Seite braucht die API
+  # Backend zuerst - die Admin-Seite braucht die API.
+  # Laeuft nur, wenn sich am Backend etwas geaendert hat. Die haeufigsten
+  # Commits sind Inhaltsaenderungen aus dem CMS und fassen nur src/ und
+  # public/ an - die brauchen kein Backend-Deployment.
   deploy_backend:
     image: node:20
     environment:
@@ -94,6 +113,12 @@ steps:
     when:
       - branch: main
         event: push
+        path:
+          include:
+            - 'backend/**'
+            - '.woodpecker.yml'
+          # "[ALL]" in der Commit-Message erzwingt den vollen Durchlauf
+          ignore_message: '[ALL]'
 
   deploy_frontend:
     image: node:20
@@ -107,6 +132,19 @@ steps:
     when:
       - branch: main
         event: push
+        path:
+          include:
+            - 'src/**'
+            - 'public/**'
+            - 'package.json'
+            - 'package-lock.json'
+            - 'astro.config.mjs'
+            - 'tsconfig.json'
+            - 'Dockerfile'
+            - '.dockerignore'
+            - 'fly.toml'
+            - '.woodpecker.yml'
+          ignore_message: '[ALL]'
 
   notify_success:
     image: alpine:latest

Dockerfile

@@ -5,9 +5,6 @@ COPY package*.json ./
 # Fallback to npm install if no lockfile is present
 RUN npm ci || npm install
 COPY . .
-# Ensure CSS variables are present
-RUN mkdir -p public/styles
-RUN cp -r styles/* public/styles/ || true
 RUN npm run build
 
 FROM node:20-alpine AS production

backend/Dockerfile

@@ -1,57 +1,46 @@
 # Multi-stage build for Gallus CMS Backend
 
 # Stage 1: Builder
+# Hier werden die nativen Module EINMAL uebersetzt. Vorher lief npm ci in
+# beiden Stages, better-sqlite3 wurde also doppelt kompiliert.
 FROM node:20-alpine AS builder
 
 WORKDIR /app
 
-# Install build dependencies for native modules (better-sqlite3, sharp)
-RUN apk add --no-cache python3 make g++ vips-dev
+# Nur fuer better-sqlite3 - fuer musl gibt es davon keine Fertigbauten.
+# sharp ab 0.33 bringt eigene Binaries samt libvips mit, vips-dev wird
+# dadurch nicht mehr gebraucht.
+RUN apk add --no-cache python3 make g++
 
-# Install dependencies
+# Eigener Layer: bleibt im Cache, solange sich das Lockfile nicht aendert
 COPY package*.json ./
-# Use npm ci when lockfile exists, fallback to npm install for local/dev
-RUN npm ci || npm install
+RUN npm ci
 
-# Copy source
 COPY . .
 
-# Build TypeScript
 RUN npm run build
 
+# Dev-Abhaengigkeiten entfernen. Was uebrig bleibt, ist fertig uebersetzt
+# und wandert unveraendert ins Laufzeit-Image.
+RUN npm prune --omit=dev
+
 # Stage 2: Production
 FROM node:20-alpine
 
 WORKDIR /app
 
-# Install runtime dependencies (git for simple-git, sqlite3 CLI tool, vips for sharp)
-# Note: python3, make, g++ are needed for native module compilation
-RUN apk add --no-cache git sqlite vips vips-dev python3 make g++
+# git fuer simple-git, sqlite fuer die CLI. Keine Build-Werkzeuge mehr -
+# die blieben vorher als Layer im Image liegen, auch nach dem apk del.
+RUN apk add --no-cache git sqlite
 
-# Copy package files first
 COPY --from=builder /app/package*.json ./
-
-# Install all production dependencies and rebuild sharp for linuxmusl-x64
-RUN npm ci --omit=dev || npm install --production && \
-    npm rebuild sharp
-
-# Clean up build dependencies after installation to reduce image size
-RUN apk del python3 make g++ vips-dev
-
-# Copy built files from builder
-# Hinweis: Drizzle-Migrationen werden nicht kopiert - das Schema wird zur
-# Laufzeit von initDatabase() angelegt, src/db/migrations existiert nicht.
+COPY --from=builder /app/node_modules ./node_modules
 COPY --from=builder /app/dist ./dist
-
-# Copy migration script and migrated images
 COPY --from=builder /app/migrate-production.js ./migrate-production.js
 COPY --from=builder /app/data/images ./data/images
 
-# Create directories
-RUN mkdir -p /app/workspace /app/data
-
-# Ensure proper permissions
-RUN chown -R node:node /app
+# Create directories and ensure proper permissions
+RUN mkdir -p /app/workspace /app/data && chown -R node:node /app
 
 # Switch to non-root user
 USER node